DNSSEC یا VPN: کدام پرس‌وجوهای DNS شما را پنهان می‌کند؟

دو سازوکار را مسئول یک کار می‌دانند و هیچ‌یک آن را انجام نمی‌دهد. DNSSEC پاسخ می‌دهد که آیا داده‌ای که دریافت کرده‌اید واقعاً از ناحیه‌ای آمده که آن را منتشر می‌کند، و VPN تصمیم می‌گیرد بسته‌های شما چه مسیری را طی کنند. هیچ یک در همه حالت‌ها نامی را که پرسیده‌اید پنهان نمی‌کند، و تنظیماتی که به نظر می‌رسد باید این کار را بکنند معمولاً به انتقال یا مسیریابی مربوط‌اند، نه به اعتبارسنجی. نام‌گذاری لایه در آغاز، پرسش مبهم درباره حریم خصوصی را به پرسشی مشخص تبدیل می‌کند.

سه ادعا که در یکی ادغام می‌شوند

اصالت این ادعا است که پاسخ همان چیزی است که ناحیه منتشر کرده و در مسیر تغییر نکرده است. محرمانگی این ادعا است که هیچ‌کس در مسیر نمی‌تواند پرس‌وجو یا پاسخ را بخواند. مسیریابی این ادعا است که بسته‌ها مسیری را که شما انتخاب کرده‌اید طی می‌کنند، و این همان چیزی است که تونل فراهم می‌کند.

DNSSEC به اولی می‌پردازد و درباره دو تای دیگر چیزی نمی‌گوید. DoT و DoH به دومی برای گام تا ریزالور می‌پردازند. VPN به سومی می‌پردازد و می‌تواند بر دومی هم اثر بگذارد، اما تنها به عنوان عارضه جانبی اینکه ترافیک کجا می‌رود.

ترافیک برنامه‌ها حالت چهارم است: HTTPS تبادل وب میان کارخواه شما و سایت را محافظت و احراز هویت می‌کند و هیچ لایه DNS جای آن را نمی‌گیرد.

اعتبارسنجی امضا چه می‌تواند بکند و چه نمی‌تواند

یک ریزالور اعتبارسنج زنجیره امضاها را از ناحیه تا لنگر اعتماد پیکربندی‌شده بررسی می‌کند و سپس وقتی بررسی موفق شود پاسخی با پرچم داده‌های احرازشده برمی‌گرداند. آن پرچم شاهدی درباره داده است، نه درباره اتصال یا نیت‌های مقصد.

نمی‌تواند مالک مشروع یک ناحیه را از انتشار رکوردهای اصیل برای سرویسی که نباید به آن اعتماد کنید بازدارد. پاسخی که به‌درستی امضا شده از دامنه به‌خطرافتاده همچنان به‌درستی امضا شده است، و DNSSEC درباره اینکه آن دامنه سزاوار اعتبارنامه‌های شما هست یا نه نظری ندارد.

همچنین چیزی را پنهان نمی‌کند. پرس‌وجو و پاسخ شبکه را به شکلی می‌پیمایند که ریزالور و هر ناظری در آن مسیر می‌تواند بخواند، مگر اینکه لایه دیگری انتقال را محافظت کند. پاسخ امضاشده و پاسخ خصوصی ویژگی‌های متفاوتی هستند و یک استقرار می‌تواند فقط یکی از آن‌ها را داشته باشد. اگر هر یک برایتان مهم است، هر دو را بیازمایید.

محرمانگی واقعاً از کجا می‌آید

انتقال رمزنگاری‌شده تا ریزالور تبادل DNS را در TLS می‌پیچد، بنابراین ریزالور هنوز پرسش را می‌بیند اما مسیر میان شما و آن نه. این اعتماد را جابه‌جا می‌کند نه حذف: به ریزالور بیشتر و به شبکه محلی کمتر اعتماد می‌کنید.

VPN می‌تواند پرس‌وجوها را به ریزالوری در طرف دیگر ببرد، که هم مسیر و هم ریزالوری را که آن‌ها را می‌بیند تغییر می‌دهد. این تصمیمی در مسیریابی با پیامد حریم خصوصی است، و در شبکه مدیریت‌شده ممکن است ریزالور داخلی تنها کسی باشد که می‌تواند به نام‌های داخلی پاسخ دهد.

ترکیبی که مردم واقعاً می‌خواهند معمولاً سه چیز هم‌زمان است: اعتبارسنجی روشن، انتقال رمزنگاری‌شده به ریزالوری که خود انتخاب کرده‌اند، و TLS برنامه در مقصد. هر یک مستقل است و نادیده گرفتن یکی شکاف دیگری باقی می‌گذارد.

اعتبارسنجی و انتقال را جداگانه بررسی کنید

دو آزمون بیشتر سردرگمی را حل می‌کنند. اولی می‌پرسد آیا ریزالور پاسخ را اعتبارسنجی کرده است؛ دومی می‌پرسد آیا انتقال محافظت‌شده بود. آن‌ها به شکل‌های متفاوت شکست می‌خورند و هیچ‌کدام دیگری را ایجاب نمی‌کند.

این فرمان‌ها پرچم‌های یک پرس‌وجوی اعتبارسنج را چاپ می‌کنند، پرس‌وجو را با بررسی غیرفعال تکرار می‌کنند و اعتبارسنجی محلی را با delv اجرا می‌کنند:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

پاسخی با پرچم داده‌های احرازشده و امضای موجود، اعتبارسنجی را در آن ریزالور نشان می‌دهد. delv با شکست اعتبارسنجی، زنجیره شکسته‌ای را جایی میان ناحیه و لنگر اعتماد نشان می‌دهد، که مشکلی در انتشار است نه مشکلی در تونل. پایان مهلت بدون هیچ پرچمی مشکل انتقال یا دسترسی‌پذیری است، و برخورد با آن به عنوان شکست امضا شما را به لایه اشتباه می‌فرستد.

وقتی VPN جست‌وجوها را خراب می‌کند چه کنیم

اگر جست‌وجوها پیش از تونل کار می‌کردند و پس از آن متوقف می‌شوند، ریزالوری را که هر مسیر استفاده می‌کند مقایسه کنید. تونل تقسیم‌شده، ریزالور داخلی که فقط از طریق تونل در دسترس است، و کارخواهی که تنظیمات ریزالور را بازنویسی می‌کند، همه پاسخ را بدون دست زدن به DNSSEC تغییر می‌دهند.

غیرفعال کردن سراسری اعتبارسنجی نخستین گام اشتباه است، چون تنها سازوکاری را که دستکاری را گزارش می‌دهد از میان برمی‌دارد و ریزالوری را که در دسترس نیست درست نمی‌کند. ابتدا خطا را محدود کنید: تفکیک، انتقال، اعتبارسنجی و سپس سیاست. تنها سومی به DNSSEC تعلق دارد و تنها دومی به انتقال رمزنگاری‌شده.